Kiến thức cần đọc trước buổi học AWS VPC

Đọc trước 6 chủ đề dưới đây (khoảng 45–60 phút) để theo kịp phần VPC tối nay. Mục tiêu: tự tính được một dải CIDR có bao nhiêu IP và tự chia được một VPC thành các subnet.

1. Địa chỉ IPv4

Một địa chỉ IPv4 dài 32 bit, viết thành 4 nhóm (octet) 8 bit, mỗi octet có giá trị 0–255. Ví dụ: 10.0.1.25.

10       .0        .1        .25
00001010 .00000000 .00000001 .00011001

Cần nhớ bảng giá trị của 8 bit trong một octet:

Ví dụ: 25 = 16 + 8 + 1 → 00011001.

Một địa chỉ IP gồm hai phần: phần mạng (network) cho biết thiết bị thuộc mạng nào, và phần host định danh từng máy trong mạng đó. CIDR (phần 3) chính là cách nói phần mạng dài bao nhiêu bit.

2. Public IP và Private IP

Public IP là địa chỉ duy nhất trên Internet, đi ra Internet được. Private IP chỉ dùng trong mạng nội bộ, không định tuyến được trên Internet. VPC luôn dùng dải private.

Ba dải private theo chuẩn RFC 1918:

Muốn máy có private IP đi ra Internet thì cần NAT (dịch địa chỉ private sang public). Đây là lý do có Internet Gateway và NAT Gateway trong bài học.

3. CIDR và subnet mask

CIDR viết dạng IP/n, trong đó n là số bit phần mạng (cố định), còn lại 32 − n bit là phần host (thay đổi được). Số IP trong dải = 2^(32 − n).

Ví dụ 10.0.0.0/16: 16 bit đầu cố định (10.0), 16 bit sau tự do → 2^16 = 65.536 IP, từ 10.0.0.0 đến 10.0.255.255.

Mẹo nhớ: n càng lớn, dải càng nhỏ. Mỗi khi n tăng 1, số IP giảm một nửa.

4. Chia subnet

Chia subnet là lấy một dải lớn rồi cắt thành các dải nhỏ hơn, không chồng lấn nhau. Cách làm: mượn thêm bit từ phần host. Mượn k bit → được 2^k subnet, mỗi subnet nhỏ đi 2^k lần.

Ví dụ thực tế trong AWS: VPC 10.0.0.0/16, cần 2 Availability Zone, mỗi AZ có 1 public subnet và 1 private subnet → cắt thành các subnet /24 (mượn 8 bit, tối đa 256 subnet):

Ví dụ chia đều: 10.0.0.0/24 (256 IP) chia làm 4 → mượn 2 bit → 4 subnet /26, mỗi subnet 64 IP: 10.0.0.0/26, 10.0.0.64/26, 10.0.0.128/26, 10.0.0.192/26.

AWS giữ lại 5 IP trong mỗi subnet (ví dụ với 10.0.1.0/24):

• 10.0.1.0 — địa chỉ mạng
• 10.0.1.1 — VPC router
• 10.0.1.2 — DNS server của AWS
• 10.0.1.3 — dự phòng cho tương lai
• 10.0.1.255 — địa chỉ broadcast (AWS không hỗ trợ broadcast nhưng vẫn giữ)

→ Subnet /24 chỉ dùng được 256 − 5 = 251 IP. Đây là câu hỏi rất hay gặp trong đề SAA.

Hai quy tắc khác cần nhớ: các subnet trong cùng VPC không được chồng lấn; và hai VPC muốn peering với nhau thì dải CIDR cũng không được trùng nhau.

5. Routing, gateway, NAT, port và stateful/stateless

Routing (định tuyến): bảng định tuyến (route table) gồm các dòng "đích → đi qua đâu". Gói tin được so với dòng cụ thể nhất (CIDR có n lớn nhất). Ví dụ:

Gateway: "cửa ngõ" nối mạng này với mạng khác. Trong AWS: Internet Gateway nối VPC với Internet; NAT Gateway cho máy trong private subnet đi ra Internet nhưng Internet không chủ động vào được.

Port và protocol: IP chỉ ra máy nào, port chỉ ra dịch vụ nào trên máy đó. Giao thức chính: TCP (tin cậy), UDP (nhanh), ICMP (ping). Các port hay dùng:

Stateful và stateless — chìa khóa để phân biệt Security Group và NACL:

• Stateful (Security Group): cho phép chiều đi thì chiều trả lời tự động được cho phép.
• Stateless (NACL): mỗi chiều xét riêng; phải mở cả inbound lẫn outbound, kể cả dải ephemeral port 1024–65535 cho lưu lượng trả về.

DNS: dịch tên miền (ví dụ s3.amazonaws.com) sang IP. Cần hiểu để học VPC Endpoint.

6. Bài tập tự kiểm tra

Tự làm trước, sau đó xem đáp án bên dưới.

1. Dải 10.0.0.0/20 có bao nhiêu IP? Nếu là một subnet trong AWS thì dùng được bao nhiêu IP?
2. Chia 192.168.1.0/24 thành 4 subnet bằng nhau. Viết CIDR của từng subnet.
3. IP 10.0.5.20 có nằm trong dải 10.0.0.0/22 không?
4. VPC A dùng 10.0.0.0/16, VPC B dùng 10.0.128.0/17. Hai VPC này peering được không?
5. Subnet nhỏ nhất AWS cho phép là bao nhiêu và dùng được mấy IP?
6. Route table có hai dòng: 10.0.0.0/16 → local và 0.0.0.0/0 → IGW. Gói tin tới 10.0.3.5 đi theo dòng nào? Gói tin tới 8.8.8.8 thì sao?

Công cụ hỗ trợ khi luyện tập: tìm "subnet calculator" hoặc "CIDR calculator" trên mạng để kiểm tra kết quả.